CYBER-CRIME – neues Risiko erkennen, vermindern und versichern - aber richtig!

Die Meldungen von Cyberattacken wie Datendiebstahl, Erpressungen, Geldüberweisungen aufgrund gefälschter Chef-Mails, Hacker, Trojaner häufen sich. Cyber-Crime ist nun nicht mehr nur ein Thema bei Grosskonzernen. Auch die öffentliche Hand, die KMUs oder der kleine Handwerksbetrieb stehen im Fokus von Cyber-Kriminellen. Dies sagt Pascal Huber im Gespräch mit Markus Baumgartner (b-public).

Herr Huber, was versteht man unter Cyber-Crime?

Die Digitalisierung vereinfacht die Arbeitsprozesse massiv. Sie macht Unternehmen aber vollkommen abhängig von der Verfügbarkeit und Sicherheit der Daten oder des Internets. Kriminelle Individuen und kriminelle Organisationen versuchen weltweit, aus dieser Abhängigkeit mit unterschiedlichsten Methoden einen entsprechenden finanziellen Profit zu ziehen. PC, Laptop, Smartphones, Server, Internet of Things - alles wird angegriffen

Wie muss man sich das vorstellen?

Ein Angreifer kann versuchen, mittels sogenannter DDoS-Attacken (Distributed Denial of Service) gezielt die Verfügbarkeit eines Systems zu stören, zum Beispiel eine Homepage oder einen Webshop. Verbreitet ist auch die Verschlüsselung von Daten durch Ransomware: Der Angreifer entsperrt den Zugriff nur gegen eine Lösegeld-Zahlung, meist in Form von Bitcoins. Es wird aber auch oft versucht, den Menschen zu manipulieren aufgrund von gefälschten Absender-E-Mails, um an Finanz- oder Bankinformationen zu kommen. Auch mit E-Mails bekannt unter «Fake President Frauds» soll eine angeschriebene Person den Eindruck haben, die E-Mail wurde vom Chef geschrieben und es muss dringend eine Zahlung ausgelöst werden. Dies sind typische Beispiele von Cyber-Crime, die auch KMUs bei uns betreffen können.

Inwieweit ist dieses Crime-Thema wirklich ernst zu nehmen?

Die Gefahr wird von den Schweizer KMU ziemlich unterschätzt. Das Markt- und Sozialforschungs-institut gfs-Zürich untersuchte die Bedrohung in einer Umfrage und Analyse. Fast die Hälfte der KMU schätzte das Cyber-Risiko als sehr klein ein, nur einige wenige als sehr hoch. Dies obwohl 30% der Befragten schon einmal einen Angriff erlebt hatten, fühlen sich die meisten KMU immer noch gut geschützt. Die meisten stellten Spam-Mails fest. Jedoch immerhin 36% fanden Malware, Viren oder Trojaner in ihrem System. Weitere 6% hatten Datenverlust, 4% wurden erpresst 3% wurden bewusst überlastet und 2% hatten Datendiebstahl (Quelle Allianz). Das ist nicht Nichts! Und erst der Anfang, und 5G wird dies noch beschleunigen.

Neutrass lud kürzlich zu einem Seminar ein mit Experten zu Cyber-Crime. Worum ging es da?

Wichtig war uns bei diesem Anlass, die Teilnehmer grundsätzlich auf dieses Thema zu sensibilisieren. Wir wollten aufzeigen, dass kein Unternehmen zu klein und zu uninteressant ist für eine Cyberattacke.

Der erste Seminarvortrag wurde von Melissa Näf-Doffey zum Thema Cyber-Security gehalten. Als Vorstandsmitglied von Swiss Internet Security Alliance (SISA) und Manager Governance Affairs bei UPC Schweiz konnte sie dem Publikum einen umfangreichen und realen Überblick zu Risiken, Angriffen und Akteuren geben. Sie skizzierte sehr eindrücklich die Bedrohungslage, Angriffsszenarien und Cyber-Risiken für die Schweizer Unternehmen.

Sehr interessant war dann auch der Vortrag des stellvertretenden Leitende Staatsanwalt Stephan Walder von der Staatsanwaltschaft II des Kantons Zürich, Cyber Crime. Er räumte gleich zu Beginn mit dem Begriffs-Wirrwarr auf, der in diesem Bereich herrscht und erläuterte klar die Unterschiede zwischen Cyber-War, Cyber-Terrorism und Cyber-Crime. Mit Fokus auf Cyber-Crime zeigte Stephan Walder, wie Cyber-Kriminelle die heutige Informations- und Kommunikationstechnik benutzen: Via «unvorstellbare» Wege in unseren Haushalten wie vernetzte Kaffeemaschine, Zahnbürste und TV oder in unseren Unternehmen wie ein vernetzter ungesicherter Drucker.

Weiter erklärte er, wie die Kriminellen das Internet auch als Kommunikationsmittel für unlautere Zwecke missbrauchen. Dies mit E-Mails, WhatsApp, Facebook oder Instagram.

Kann die Staatsanwaltschaft die Täter auch dingfest machen?

Ja, aber es ist äusserst schwierig… Sein abschliessender Kommentar zu den Cyber-Crime-Entwicklungen und der Strafverfolgung war zwar ironisch gemeint, aber mit erkennbarem Kern an Wahrheit: «We are still confused, but on a higher level». Die Strafverfolgung hinkt auch mit der Strategie «Public Private Partnership» immer hinter den Kriminellen her. Es gibt viel Anonymität und keine Landesgrenzen.

Wie sieht es denn eigentlich mit der Cyber-Kompetenz bei Neutrass aus, da ihr ja Kunden für Cyber-Versicherungen berät?

Wir haben uns schon früh mit der Digitalisierung und den damit verbundenen Risiken beschäftigt. Am vorerwähnten Seminar konnten wir unsere IT-/Cyber-Kompetenz anhand konkreter und hinlänglich bekannter Gefahrensituationen unter Beweis stellen. Pirmin Walthert, Chief Technology Officer von Neutrass und Master of Science Uni Bern, erläuterte Phishing & Datenmanipulation inklusive einer Live-Demonstration, wobei er von Josua Zurbrügg, Bachelor of Science in Wirtschaftsinformatik, ebenfalls Neutrass, unterstützt wurde.

Wozu braucht es diese Herr Huber?

Die Cyber-Versicherung ist als Bestandteil des gesamten Risk Managements einer Firma zu verstehen. Gemäss dem Allianz Risk Barometer 2018 sehen Firmen die Cybervorfälle als Nummer zwei der Unternehmensrisiken. Prämien zu budgetieren ist einfacher als Reserven in unbekannter Höhe für die Schadenfälle zu bilden.

Wie funktioniert die Cyber-Versicherung?

Eine Cyber-Versicherung besteht aus verschiedenen Komponenten. Zum einen werden die Eigenschäden versichert, wenn infolge einer Attacke allenfalls IT-Spezialisten aufgeboten werden müssen, um das Einfallstor ins System festzustellen und das System von allfälliger Malware zu reinigen. Auf der anderen Seite können entwendete Daten zu Haftpflichtforderungen führen, beispielweise im Hinblick auf die europäische Datenschutzgrundverordnung. Kosten für PR-Berater und allfällige Betriebsunterbruchschäden sind bei vielen Anbietern ebenfalls mitversichert.

Was gilt es zu beachten, wenn man eine Cyber-Versicherung sucht?

Fast alle grossen Versicherer haben zwischenzeitlich ein eigenes Cyber-Produkt lanciert. Ein Vergleich der Deckungen und Leistungen ist zurzeit extrem schwierig, da sich noch kein Standard wie bei anderen Versicherungsprodukten etabliert hat. Nicht alle Produkte sind für jeden Kunden geeignet oder decken alle digitalen Risiken ab. Es gibt preiswerte Angebote für Kleinunternehmen bis komplexe Produkte für international tätige Firmen. Tücken bilden unter anderem die Höhe und die Art des Selbstbehaltes, der Umfang der versicherten Risiken, die stark unterschiedlichen Ausschlüsse und das Krisenmanagement bei Cyber-Vorkommnissen.

Entscheidend bei der Auswahl eines Versicherers sind insbesondere die Bedürfnisse des Kunden – und eine gesamtheitliche Beratung.

Was empfehlen Sie mit Ihren Kenntnissen und Erfahrungen einem KMU?

Nebst der Einsicht, dass jeder von Cyber-Crime betroffen sein kann, sollte jedes KMU über einen Notfallplan verfügen und wissen, wie im Falle einer Attacke reagiert werden soll. Wie unser CEO Pascal Walthert am Seminar sagte: «Die Cyber-Security hat erste Priorität, erst dann kommt die Versicherung».

Sicher ist es aber auch sinnvoll, einen genügenden Versicherungs-schutz aufzubauen. Wie schon gesagt: Zwar kostet dies Prämien, aber das ist budgetmässig kalkulierbar. Und ich empfehle natürlich jedem KMU, das Thema ernsthaft anzuschauen, am besten mit einem unserer Neutrass-Berater.

Welche Massnahmen schlägt die Seminar-Referentin zur Cyber-Sicherheit vor?

Melissa Näf-Doffey wies darauf hin, wie wichtig es ist, die Menschen - hier konkret die Mitarbeitenden – für die Informationssicherheit zu sensibilisieren. Die IT-Sicherheitssystem und die Cyber-Sicherheitssysteme seien erfahrungsgemäss nur so stark wie das schwächste Glied: der Mensch.

Neben regelmässiger, stufengerechter Information der Mitarbeitenden empfiehlt sie auch einen Security-Check, mit welchem Unternehmen mehr über Massnahmen zum Schutz der eigenen Daten erfahren werden. Die Entwicklungen und Vernetzungen wie das Internet der Dinge, Social-Engineering, Crime-Risk/Darknet über die Landesgrenzen hinweg würden eine noch deutlich höhere Aufmerksamkeit in den Unternehmen erfordern, um den Cyber-Gefahren auf Augenhöhe begegnen zu können

Danke, Pascal Huber, für dieses sehr informative Gespräch.

* Pascal Huber arbeitet seit 2002 bei der Neutrass. Er ist Verkaufsleiter für das Verbands-/Affinity-Business und verfügt über profundes Wissen: eidgenössische Fachausweise in Versicherung, in Sozialversicherung und in Finanzplanung. Zudem ist er Dozent am Weiterbildungszentrum des Kanton Luzern in Sursee und Willisau. Seine Freizeit geniesst er als Marathon-Läufer, Mountainbiker und Hobby-Schlagzeuger.